API 身份验证和授权：6 种成功方法和技巧

API 身份验证和授权是验证请求访问 API 的用户或应用程序身份的用户管理过程。API 身份验证是验证发出请求的用户或应用程序身份的过程，而 API 授权是验证经过身份验证的用户或应用程序是否有权访问所请求的资源的过程。

API 身份验证可以使用各种方法执行，例如提供用户名和密码，或使用基于令牌的系统（例如 OAuth 或 JWT）。API 授权通常使用访问令牌执行，访问令牌在身份验证成功后颁发给客户端，可用于在有限的时间内访问特定资源。

API 身份验证和授权的目的是确保只有经过授权的用户或应用程序才能访问 API 及其提供的资源。这有助于保护敏感数据，并确保以符合其预期用途的方式使用 API。

为什么 API 身份验证和授权很重要？ 

API 身份验证和授权之所以重要，原因如下：

• 数据安全：通过要求身份验证和授权，API 可以确保只有授权用户或应用程序才能访问敏感数据。这有助于保护敏感数据免遭未经授权的访问、盗窃或滥用。
• 用户隐私：通过要求身份验证和授权，API 可以确保只有在获得用户许可的情况下才能访问用户的数据。这有助于保护用户隐私并维护 API 用户的信任。
• 资源保护：通过要求身份验证和授权，API 可以确保资源的使用方式符合其预期用途。这有助于防止资源被滥用或过度使用，并确保资源的使用方式符合 API 提供商的政策。
• 合规性：通过要求身份验证和授权，API 可以帮助确保它们遵守数据隐私和安全法规和行业标准。
• 提高 API 安全性：通过要求身份验证和授权，API 可以使攻击者更难访问敏感数据或滥用资源。这有助于提高 API 安全性并降低安全事故的风险。

6 种常见的 API 身份验证和授权方法 

基本身份验证

基本身份验证是一种简单的基于 HTTP 的身份验证方案，允许客户端通过在 HTTP 请求中以纯文本形式发送用户名和密码来向服务器进行身份验证。

当客户端向需要基本身份验证的服务器发出请求时，服务器会以 401 Unauthorized 状态代码进行响应，表示需要进行身份验证。响应还包括一个 WWW-Authenticate 标头，指定服务器正在使用基本身份验证。

为了进行身份验证，客户端会向服务器发送另一个带有授权标头的请求，该标头包含单词“Basic”，后跟以冒号分隔的用户名和密码的 base64 编码字符串。例如，“Authorization: Basic dXNlcm5hbWU6cGFzc3dvcmQ=”表示以 base64 编码的凭证“用户名:密码”。

虽然基本身份验证很容易实现，但它有几个安全限制。最明显的限制是用户名和密码以纯文本形式发送，因此很容易受到窃听和中间人攻击等。 

API 密钥认证

基于 API 密钥的身份验证涉及随请求一起发送 API 密钥。API 密钥是 API 提供商向授权用户或应用程序颁发的唯一标识符，用于识别和跟踪 API 使用情况。

要使用需要基于密钥的身份验证的 API，用户或应用程序需要将 API 密钥作为参数包含在请求中，通常作为查询参数或标头。API 提供商会验证密钥，然后根据用户的权限和 API 的使用限制允许或拒绝对 API 的访问。

基于 API 密钥的身份验证提供了一种比基本身份验证更安全、更具可扩展性的替代方案，因为 API 密钥在被泄露时可以轻松被撤销或重新生成，并且它允许 API 提供商更精细地监视和控制对 API 的访问。

但是，基于 API 密钥的身份验证有一些局限性。例如，如果 API 密钥被盗用，攻击者可以访问该 API，直到密钥被撤销。此外，在大规模环境中，API 密钥可能难以管理和分发。

TLS 加密

TLS（传输层安全性）加密是一种安全的身份验证方法，涉及使用 TLS 协议加密客户端和服务器之间的通信，通过加密传输中的数据并提供服务器和客户端的身份验证来提供网络安全通信。

客户端通过发送建立 TLS 会话的请求来启动与服务器的安全连接。服务器通过将其公钥发送给客户端来响应，客户端使用该密钥加密会话密钥，该会话密钥将用于加密客户端和服务器之间的所有后续通信。

一旦建立 TLS 会话，客户端和服务器就可以使用数字证书相互验证身份。服务器将其证书提供给客户端，客户端验证该证书是否由受信任的证书颁发机构颁发，以及该证书是否与服务器的主机名匹配。客户端还可以向服务器出示自己的证书进行验证。

基于 TLS 的身份验证可提供高级别的安全性，并受到 Web 浏览器和 Web 服务器的广泛支持。相互 TLS（也称为 mTLS）是一种 TLS 身份验证形式，其中客户端和服务器都提供并验证数字证书。

OAuth 2.0

OAuth 2.0 是一种授权框架，它允许用户或应用程序从 API 访问资源，而无需让 API 访问其凭据（例如用户名和密码）。它被广泛用于代表用户授予第三方应用程序对资源的访问权限，而无需用户向第三方披露其凭据。

OAuth 2.0 涉及多个角色，包括资源所有者、客户端、授权服务器和资源服务器。客户端向资源所有者请求授权以访问资源服务器上的资源，授权服务器会对其进行身份验证。如果授权被批准，客户端将收到一个访问令牌，可用于访问资源。

OAuth 2.0 被社交媒体平台、云服务提供商和其他网络应用程序广泛使用，以提供安全且标准化的资源访问权限授予方式。与传统身份验证方案相比，它具有多项安全优势，包括能够撤销对特定应用程序或用户的访问权限、能够授予对特定资源的有限访问权限以及能够将身份验证委托给受信任的第三方。

基于 JWT 的身份验证

JWT（JSON Web Tokens）是一种紧凑且 URL 安全的表示在各方之间传输的声明的方式。JWT 由三部分组成，三部分用点分隔：标头、有效负载和签名。标头指定用于对令牌进行签名的算法，有效负载包含声明，签名用于验证令牌的完整性。

JWT 通常用于 Web 应用程序中的身份验证和授权。当用户登录时，服务器会生成一个 JWT，其中包含有关用户的信息，例如用户 ID 和权限。然后使用只有服务器知道的密钥对 JWT 进行签名。服务器将 JWT 发送到客户端，然后客户端可以使用它来访问服务器上受保护的资源。

当客户端向服务器发送请求时，它会将 JWT 包含在授权标头中。服务器使用密钥验证 JWT 的签名，如果签名有效，它会提取声明并使用它们来授权请求​​。

JWT 广泛应用于 REST API，因为它们允许在客户端和服务器之间无状态传输身份验证和授权数据。它们还具有可移植性，因为它们可以在不同的服务和系统之间轻松共享。

光电子数据交换中心

OpenID Connect (OIDC) 是一种身份验证协议，它通过在 OAuth 2.0 框架之上提供身份层来扩展该框架。OIDC 允许用户使用身份提供商（例如 Google 或 Facebook）向 Web 应用程序进行身份验证。

OIDC 提供了一种请求特定用户信息（例如姓名或电子邮件地址）的机制，并允许用户授予或拒绝访问此类信息的权限。这使应用程序能够根据用户的身份和偏好定制用户体验。

OIDC 广泛应用于 Web 应用程序和单点登录 (SSO) 系统，为用户提供安全且易于使用的身份验证。它受到众多身份提供商的支持，并建立在现有 Web 标准之上，因此很容易集成到现有系统中。

API 身份验证和授权最佳实践 

以下是确保安全、可管理的身份验证和授权的一些​​最佳实践。

配置多个 API 密钥

创建具有不同 API 访问权限级别的多个 API 密钥，而不是为所有用户或应用程序使用单个 API 密钥。如果每个 API 密钥具有不同的权限，API 提供商可以控制每个用户或应用程序对 API 的访问权限级别。这提供了一种更精细、更安全的身份验证方法，因为它允许 API 提供商根据用户的角色或访问权限级别限制对某些资源或操作的访问。

例如，API 提供商可能会为报告应用程序创建一个具有对某些资源的只读访问权限的 API 密钥，同时为内部应用程序创建另一个具有对所有资源的完全访问权限的 API 密钥。 

让应用程序和业务逻辑处理授权 

这种方法涉及根据应用程序的业务逻辑定义授权规则，并使用它们来确定用户或应用程序是否有权访问资源或执行操作。通过允许应用程序和业务逻辑处理授权，API 提供商可以对资源访问实施细粒度控制，同时还可以更轻松地维护和更新授权规则。这种方法比向授权系统添加逻辑更有效。 

例如，电子商务应用程序可以定义授权规则，仅允许经过身份验证的用户访问其购买历史记录，同时限制其他用户的访问权限。该应用程序还可以定义规则，根据用户的角色限制对某些资源的访问，例如仅允许管理员管理用户帐户。 

在有状态或无状态模式下实现 OAuth2

OAuth2 可以以有状态或无状态模式实现，以提供安全高效的资源访问权限授予方式。有状态模式涉及将用户的身份验证状态存储在服务器上，而无状态模式涉及通过请求传递状态。

状态模式更安全，因为它可以防止未经授权访问用户的身份验证状态。但是，它也可能效率较低，因为它需要服务器存储和管理用户会话。

另一方面，无状态模式更高效、更可扩展，因为它允许服务器在无需会话管理的情况下处理请求。但是，它还需要额外的安全措施，例如使用安全令牌和加密通信，以防止未经授权访问用户的状态。

结合 OAuth2 和 OIDC 实现 SSO 

可以使用 OAuth2 和 OIDC 实现 SSO（单点登录），以提供一种安全且用户友好的跨多个应用程序和服务验证用户身份的方式。OAuth2 提供授权框架，而 OIDC 在其上提供身份层。

通过使用 OAuth2 和 OIDC 实现 SSO，用户只需向身份提供商进行一次身份验证，即可访问多个应用程序和服务，而无需重新输入其凭据。这不仅改善了用户体验，还降低了凭据被盗或滥用的风险。

OAuth2 和 OIDC 还提供了一种在应用程序和服务之间交换用户信息和身份验证数据的标准化且安全的方式。这允许应用程序共享用户数据并提供更加个性化的体验，同时还能确保用户数据受到保护和控制。

文章来源：API Authentication and Authorization: 6 Methods and Tips for Success